ما هو الأفضل في انواع الجدار الناري

الهاردوير فايرول أفضل من السوفتوير فهو يحتوي على ميزات امنية اكبر كما انه يتضمن سوفتوير فايرول في نفس الوقت وسيسكو أفضل شيء في السابق كان البيكس PIX ولكن الشركة اوقفت بيعه وحاليا يوجد ASA مشكلة السيسكو ان سعره أغلى نوعا ما من غيره ولكنه الأفضل في تقديري ... قد تضطر الى دفع مبلغ اضافي في حال زيادة عدد المستخدمين .

انا اشارك الاخ بوحضرم فى اختيارة للهاردوير والسيسكو

قد يكون عدد كبير متآلف مع منتجت سيسكو لذلك هو محبذ بشكل كبير , لكن ألا يجب أن يكون البحث موضوعي أكثر ؟

يعني لماذا سيسكو , لماذا ليس أي نوع firewall آخر , وال ASA فيه IPS مضمن أيضا لكن ماأقصى throughput يستطيع هاردوير السيسكو تحمله ؟

مشكلة سيسكو أن IOS الخاص بها لايعمل إلا على أجهزتها والتي لاتقارن بأداء ال X86 بنفس السعر !

مثلا هنا :

http://www.vyatta.com

وهنا vyatta vs cisco

http://www.vyatta.com/quiz.php

لكن في مجال ال routing ..

cisco لديها cli جميل وعدد كبير من محترفي تقنية المعلومات تعودو على أنظمتها وهي شركة رائدة في الكثير وأجهزتها مستقرة بشكل كبير جدا ولديهم standards كثيرة في عالم الأنظمة وربما عدد كبير من الشركات يفضل أن يدفع مبلغ كبير لمرة واحدة ويريح باله , لكن يمكن بأقل من ربع هذا المبلغ أن تبني نظام firewall ب sun أو Open source ليكون مجاني تماما ب Linux بأحدث نوع هاردوير يمكن تخيله ولو كان لديك throughput عالي في الشركة مثلا 100Mbps وفعلت ال IDS بأعلى مايمكن ولديك كمية false positve كثيرة فلن تقلق بشأن الأداء إطلاقا , ويمكن أن تضع عدة حلول أمن إضافية على نفس السيرفر وكما قلت بملغ زهيد .

هناك ميزة في أن يكون هناك جهاز مخصص لمهمة واحدة كالجدار الناري ، أو أن يتم ذلك من خلال برنامج يعمل على جهاز كمبيوتر.

طبعا معالج الحاسب له ميزات أعلى من معالجات الأجهزة المتخصصة لمهمة واحدة ، ولكن في نفس الوقت فإن البرامج التي تعمل على جهاز كمبيوتر تستهلك موارد الجهاز أكبر ، لأنها ليست التي تعمل وحدها ، وبالتالي سيظهر التأثير إذا كان العمل كثيرا.

وبما ان الأجهزة المتخصصة لمهمة واحدة يعمل عليها نظام تشغيل صغير ومحدود والذي يؤدي الغرض ، سيكون أسرع بكثير من وجود نظام تشغيل كامل.

على العموم ، وحسب علمي ، فإن مصنعي الأجهزة الآن يميلوا إلى استخدام الدوائر المتكاملة و صناعة البرامج بدلا من أن يقوم بصناعة hardware يقوم بنفس مهمة البرنامج.

فمثلا بالنسبة لل pix فإنه توجد أنواع تستخدم Pentium IIII ويستخدم برنامج PIX OS .

ولكن في نظام لينوكس يوجد حل مشابه للأجهزة المخصصة لمهمة واحدة ، حيث أنك تستطيع أن تقوم بعمل compilation للكرنل بما يمكنه لأن يعمل كنظام تشغيل محدود جدا مشابه لل IOS ، وتستطيع أن تعمل بوجود RAM فقط ، يعني أنك لن تحتاج لوجود harddisk ، ويوجد firewall في اللينوكس اسمه netfilter ويتم التعامل معه من خلال برنامج يدعى iptables ، حاول أن تقرأ عنهم لتعلم مدى قوتهم في هذا المجال.

أيضا يجب أن تستخدم network intrusion detection system لصد الأنواع المختلفة من الاختراقات.

وتوجد برنامج اسمه snort يعتبر قوي في هذا المجال ، وهو يعمل على لينوكس ، و يوجد أيضا dedicated hardware خاص به أيضا.

لمزيد من المعلومات snort.org

انا مستخدم بالشركة و كل الأفرع جونيبير فايرول ... خااااااااااااااارقة..

Juniper is the Best Firewall Appliance you will ever find

Mr. Mohamed ,

Did you try cyberoam ?

الإخوة الذين يحبذون منتجات juniper ياريت نبذة ولو مختصرة عن الميزات والإمكانيات .. وماذا عن سوفتويرات Juniper أيضا !؟

بما أن استخدامك للشبكة غير كبير، وعدد المستخدمي 60، وتريد حائط ناري لإستخدام مبدئي، كـPacket filtering. ممكن اي جهاز مع يونكس يفي بالغرض. هذا أرخص حل ويعطيك نفس الكفائة. ممكن أيزا أو ابلاينس لكنهم أغلى سعرا.

اذا اردت التشفير فهنا ياتي دور الأبلاينس مع الASIC مخصص للتشفير وفك التشفير. أو موديولز في السيرفر ان شئت. لكن هذا فقط اذا كان الضغط شديد وسرعة معالجة الـCPU لا تكفي.

Juniper اشترت NetScreen لكن الأخيرة ابقت مهندسين اكفاء وأنتجت ما هو أفضل وأرخص - ألا وهو FortiGate.

بالنسبة لCisco و الـIOS. نظام تشغيل قديم، يصنف تحت الـMono kernels القديمة ومن غير الـVirtual memory. بالتالي خطأ في أي برنامج ولو تافه (مثل CDP) يمكن يأثر على أي برنامج آخر بلا حدود كالـBGP أو غيره. والحل الوحيد هنا هو إعادة تشغيل النظام من جديد. ولهذا السبب الـAvailability للـIOS سيئة ومشاكلها غريبة مقارنة بنظيراتها.

لكن أنظمة الشبكات الحديثة، مثل FortiOS و JunOS مبنيين على Modern mono kernel و تتجنب الإشكاليات بالأعلى.

من ناحية السرعة والأداء، سسكو ليست جيدة في أي شيء ماعدى CRS-1. هذا مبني على Micro kernel design وبالتحديد مبني على QNX. انتجته Cisco كرد فعل لـJunOS التي أكلت من حصتها في السوق كالنار في الهشيم. سسكو تعلمت الدرس وطبقت نفس التجربة على Modular IOS في Cat6500 و 12000 راوترز. وماعداه يزال يستخدم الأضحوكة الـIOS.

هذا كله يعتبر overkill بالنسبة لك. 60 مستخدم ليس بالكثير. وافضل حل تقوم بـbenchmark قبل الشراء. وعلى الأرجح لن تحتاج لشراء ما هو مكلف أو على مستوى الشركات. للأسف معظم عمليات الشراء في الوطن العربي ،اذا لم تكن جميعها، يتم من خلال التقدير والتخمين :S

HGH:

إضافة إلى ما ذكرت في الأعلى، والسبب الأساسي على ارتفاع حصته في السوق مقارنة بـCisco، هو ان Juniper تعطيك الـOS على أي hardware. بيما مع سسكو لازم تتعب وتختار الOS للهاردوير نفسه. الإدارة تصبح صعبة.

السبب وراء هذا هو أن الـIOS قديم وتم تصميمه عندما كانت السرعة تأتي في الـSoftware Optimization وهذا قبل ولادة الـASIC الحديثة و CEF وغيره. ولهذا السبب الـmono kernel design - سريع لكن كثير المشاكل.

في الزمن الحديث. الـsoftware يتم استخدامه للـعمليات الذكية وليست للسرعة، لأن السرعة تأتي م خلال الـASIC . وهذا ما يفعله Juniper و Fortinet. والنتيجة ثبات أكثر.